ファイアウォールとは、あらかじめ定めたセキュリティルールに基づいて、ネットワークの送受信トラフィックを監視・制御するセキュリティ対策です。ファイアウォールは、信頼できる内部ネットワークと、インターネットなどの信頼できない外部ネットワークの間にある防壁として機能します。
ファイアウォールにはいくつかの種類があり、それぞれ独自の機能、メリット、デメリットを備えています。この記事では、さまざまなファイアウォールの種類とユースケースを紹介し、どれが自分の状況に最適かを判断できるよう解説します。
パケットフィルタリング型ファイアウォール
パケットフィルタリング型ファイアウォールはOSI参照モデルのネットワーク層で動作し、受信・送信する各パケットのヘッダー情報（送信元・宛先IPアドレス、ポート番号、プロトコルなど）を調べ、事前設定されたルールに基づいてパケットの許可・ブロックを判断します。
メリット
- シンプルさ：パケットフィルタリング型ファイアウォールは、理解しやすく実装も容易です。
- リソース使用量の少なさ：ネットワークパフォーマンスへの影響が最小限に抑えられます。
- 費用対効果：一般に、より高度なファイアウォールよりも低コストです。
デメリット
- セキュリティの制限：これらのファイアウォールはパケットの内容を分析しないため、より巧妙な攻撃に対してネットワークが脆弱になります。
- IPスプーフィングへの脆弱性：攻撃者はIPアドレスを偽装することで、パケットフィルタリング型ファイアウォールを回避できる可能性があります。
パケットフィルタリング型ファイアウォールを使うべきケース
パケットフィルタリング型ファイアウォールは、小規模ネットワークや、セキュリティ要件が限られている環境に適しています。たとえば、一般的な脅威からの基本的な保護を主に必要とする小規模企業やホームネットワークなどです。
ステートフルインスペクション型ファイアウォール
ステートフルインスペクション型ファイアウォールはOSI参照モデルのトランスポート層で動作します。アクティブな各接続の状態を追跡する状態テーブルを保持するため、パケットのヘッダーとペイロードの両方を検査できます。ステートフルインスペクション型ファイアウォールは、接続のコンテキストに基づいてパケットをフィルタリングできるため、パケットフィルタリング型ファイアウォールより堅牢なセキュリティを提供します。
メリット
- セキュリティの向上：ステートフルインスペクション型ファイアウォールは、ネットワークトラフィックをより詳細に分析するため、悪意のある活動を効果的にブロックできます。
- 誤検知率の低下：各接続の状態を追跡することで、正当なトラフィックをより正確に識別し、誤検知を減らせます。
デメリット
- リソース使用量の増加：ステートフルインスペクション型ファイアウォールは、パケットフィルタリング型ファイアウォールより多くのリソースを消費するため、ネットワークパフォーマンスに影響する可能性があります。
- 設定・管理がより複雑：高度な機能を備えているため、設定と保守にはより専門的な知識が必要です。
ステートフルインスペクション型ファイアウォールを使うべきケース
ステートフルインスペクション型ファイアウォールは、セキュリティ要件が高い中規模ネットワークや環境に最適です。教育機関、中規模企業、電子商取引サイトなどが該当します。
アプリケーションファイアウォール（プロキシファイアウォール）
アプリケーション層ファイアウォール（プロキシファイアウォールとも呼ばれ）は、OSI参照モデルのアプリケーション層で動作します。クライアントとサーバーの仲介役として、アプリケーションレベルのプロトコルとデータを傍受・分析し、セキュリティポリシーを適用します。
メリット
- 詳細な検査：アプリケーションファイアウォールは、トラフィックを詳細にフィルタリング・検査できます。
- アプリケーション層のセキュリティ：次のようなアプリケーション層の攻撃から保護します：SQLインジェクションやクロスサイトスクリプティングなどです。
- カスタマイズ性：アプリケーション内の特定のコンテンツや機能をブロックするよう、これらのファイアウォールをカスタマイズできます。
デメリット
- パフォーマンス：アプリケーション層で各パケットを検査するため、パフォーマンスへの負荷が大きくなる可能性があります。
- リソース要件：追加のハードウェアやソフトウェアリソースが必要になる可能性があります。
- 設定の難しさ：他の種類のファイアウォールと比べて、設定や管理が難しい場合があります。
アプリケーションファイアウォールを使うべきケース
アプリケーション層のトラフィックをきめ細かく制御する必要がある組織や、Webベースのアプリケーションを保護する必要がある組織には、アプリケーションファイアウォールが最適です。たとえば、トラフィックの多い電子商取引サイトを運営している場合や、機密性の高い顧客データを管理している場合、アプリケーションファイアウォールによってセキュリティと制御を強化できます。
次世代ファイアウォール（NGFW）
次世代ファイアウォール（NGFW）は、従来のファイアウォールを進化させたもので、ネットワークセキュリティに対してより包括的かつ統合的なアプローチを提供します。基本的なファイアウォール機能に加えて、侵入防止システム（IPS）、ディープパケットインスペクション、ユーザーとアプリケーションの識別、脅威分析のためのサンドボックスなど、高度な脅威対策機能を備えています。
メリット
- 高度な機能：保護を強化する高度なセキュリティ機能を提供します。
- 可視性：ネットワークトラフィックに対する可視性と制御性が向上します。
- 高度な脅威の検知：ゼロデイ攻撃や高度持続的脅威（APT）など、高度な脅威を特定してブロックできます。
デメリット
- コストと複雑さ：従来のファイアウォールと比べて、コストと複雑さが増します。
- リソース使用量：NGFWはより高い処理能力と多くのリソースを必要とする場合があり、ネットワークパフォーマンスに影響を及ぼします。
次世代ファイアウォールを使うべきケース
NGFWは、高度な脅威からの保護、高度なユーザー・アプリケーションレベルの活動の監視、業界規制への準拠に必要な高度なセキュリティ機能を求める組織に最適です。金融、医療、さらには小売など、機密データや重要システムのリスクが高い規制の厳しい業界に適しています。
クラウドベースのファイアウォール
クラウドベースのファイアウォールは、Firewall-as-a-Service（FWaaS）とも呼ばれ、クラウド上でホストされ、サブスクリプション型サービスとして提供されるファイアウォールです。分散したネットワーク、デバイス、ユーザー全体にわたるセキュリティポリシーの一元管理、設定、保守を実現します。
メリット
- スケーラビリティ：ネットワークの成長に合わせて、容易に導入・拡張できます。
- コスト削減：ハードウェアと保守にかかるコストを削減できます。
- 管理の簡素化：一元化された管理とレポート機能により、運用管理が簡素化されます。
- リモートユーザーの保護：ユーザーがどのネットワークに接続しているかにかかわらず、リモートユーザーやモバイルユーザーで構成される分散した従業員を保護できます。
デメリット
- プロバイダーへの依存：クラウドサービスプロバイダーの可用性とパフォーマンスに依存します。
- プライバシー上の懸念：ネットワークトラフィックを組織外で処理することにより、データプライバシー上の懸念が生じる可能性があります。
- コスト：組織によっては、サブスクリプション費用が高額になる可能性があります。
クラウドベースのファイアウォールを使うべきケース
クラウドベースのファイアウォールは、分散ネットワーク、複数の拠点、または一元的で容易に拡張できるセキュリティソリューションを必要とするリモート従業員を抱える組織に最適です。オンプレミスのハードウェア管理に伴うコストと複雑さを避けたい中小企業には、特に適しています。
サーキットレベルゲートウェイ型ファイアウォール
サーキットレベルゲートウェイ型ファイアウォールはOSI参照モデルのセッション層で動作します。クライアントとサーバー間の接続を確立し、データパケットの中継として機能します。この種類のファイアウォールは、TCPハンドシェイクの状態に基づいてトラフィックをフィルタリングし、両者間でデータの送受信を許可する前に、セッションが正当なものかどうかを確認します。
メリット
- 有効性：トラフィックを高速かつ効率的にフィルタリングできます。
- 効率性：アプリケーションファイアウォールと比べて、リソース使用量が少なくて済みます。
- DoS攻撃への防御：不正アクセスを効果的に防止し、一部のサービス拒否（DoS）攻撃から保護できます。
デメリット
- フィルタリングの制限：セッション層でのフィルタリングに限られるため、より深いレベルのデータは検査しません。
- アプリケーション層の保護が弱い：サーキットレベルファイアウォールでは、アプリケーション層の攻撃に対して十分な保護を提供できない場合があります。
サーキットレベルゲートウェイ型ファイアウォールを使うべきケース
サーキットレベルゲートウェイ型ファイアウォールは、高速なトラフィックフィルタリングが優先され、アプリケーション層の攻撃への対策が主な懸念ではない状況に最適です。たとえば、大規模な企業ネットワークやアクセスの多いWebサイトのトラフィック管理など、複数の接続を迅速かつ効率的に処理する必要があるケースで役立ちます。
ネットワークファイアウォール
ネットワークファイアウォールは、ネットワークの境界でセキュリティを提供するハードウェアまたはソフトウェアベースのソリューションです。組織の内部ネットワークと外部世界の間にある防壁として機能し、あらかじめ定められたルールに基づいてデータパケットをフィルタリング・検査します。
メリット
- 安全なネットワーク境界：ネットワークの境界でセキュリティを提供します。
- 導入・管理の容易さ：ネットワークファイアウォールは一元的に容易に導入・管理できます。
- 複数のデバイス：ホストベースのファイアウォールとは異なり、ネットワークファイアウォールはネットワーク内の複数のデバイスを保護します。
- パフォーマンス：大規模ネットワークでも高いパフォーマンスを発揮します。
デメリット
- アプリケーション層の可視性の欠如：ネットワークファイアウォールでは、アプリケーション層の可視性が限られます。
- 内部関係者による脅威：内部関係者による脅威には効果を発揮しない場合があります。
- 個々のデバイスに対する保護が不十分：これらのファイアウォールでは、ホストベースのファイアウォールほど効果的に個々のデバイスを保護できない場合があります。
ネットワークファイアウォールを使うべきケース
企業ネットワークや複数のデバイスを接続したホームネットワークなど、外部の脅威からネットワーク全体を保護する必要がある場合は、ネットワークファイアウォールを使用します。強固な境界セキュリティが必要で、ネットワークトラフィック量が多い企業には特に有効です。
ホストベースのファイアウォール
ホストベースのファイアウォールは、ノートパソコン、デスクトップ、サーバーなどの個々のデバイスにインストールするソフトウェアアプリケーションです。デバイスごとに送受信トラフィックをフィルタリングし、各デバイスに固有のルールを設定できるため、よりきめ細かな制御が可能になります。
メリット
- デバイスレベルの保護：ホストベースのファイアウォールは、個々のデバイスを保護できます。
- きめ細かな制御：これらのファイアウォールは、デバイスのセキュリティをきめ細かく制御できます。
- 脅威への有効性：ホストベースのファイアウォールは、外部と内部の両方の脅威に有効です。
- ネットワーク境界外での保護：デバイスがネットワークの境界外にある場合でも保護できます。
デメリット
- 複雑さ：大規模環境では、管理・保守がより複雑になる可能性があります。
- リソース使用量：これらのファイアウォールは、システムパフォーマンスに影響を及ぼす可能性があります。
- 狭い保護範囲：ホストベースのファイアウォールは、ネットワークレベルの攻撃にはあまり効果的ではありません。
ホストベースのファイアウォールを使うべきケース
ホストベースのファイアウォールは、個々のデバイス、特にノートパソコンやリモートサーバーなど、ネットワークの境界外で使用されるデバイスに最適です。また、個々のデバイスのセキュリティを高度に制御し、内部関係者による脅威から保護する必要がある組織にも適しています。
まとめ：組織に適したファイアウォールの選び方
ファイアウォールに関して、すべてに適合する万能なソリューションはありません。選択するファイアウォールの種類は、組織固有のニーズ、ネットワークの複雑さ、対策したい脅威の種類によって異なります。
さまざまな種類のファイアウォールとそのメリット・デメリット、利用ケースを理解すれば、ニーズに最適なファイアウォールについて、十分な情報に基づいて判断できます。
ファイアウォールの種類が分かったら、組織向けの強固なファイアウォールポリシーを策定する必要があります。こちらのファイアウォールポリシーの設計方法と、開始に役立つ無料テンプレートをご紹介します。